WordPress Bricksforge Açığı CVE-2026-85097: Yama Öncesi Sömürülen Kritik RCE

WordPress eklenti açıkları artık o kadar sıradanlaştı ki çoğumuz haberini görünce geçiyoruz. Ama bu haftaki Bricksforge vakası, "açık disclose edilmeden saldırı başladı" kısmıyla okunmayı hak ediyor. Savunma penceresinin sıfır olduğu durumlar bence en değerli ders niteliğinde.

Açık ne?

CVE-2026-85097, Bricks site oluşturucusunun bir eklentisi olan Bricksforge'un Pro Forms modülünde bulunan kimlik doğrulamasız dosya yükleme açığı. Etkilenen sürümler: 3.1.8.9 ve öncesi. Bir güvenlik firması açığa 10.0, CVE kaydı ve başka bir firma 9.8 puan veriyor; yani kaynağa göre değişse de "kritik" olduğu kesin.

Sömürü akışı güzel bir CWE-434 örneği:

1. Saldırgan herkese açık bir AJAX uç noktasından geçerli bir nonce alıyor.
   
2. Hem geçerli bir GIF hem de PHP kodu olan bir polyglot dosya yüklüyor (önce geçici klasöre).
   
3. Form gönderiminde dosya bilgisine güvenilmesinden faydalanarak url alanını .php ile bitirip gönderiyor.
   
4. Sunucu saldırganın PHP'sini çalıştırıyor ve girişsiz tam kontrol sağlanıyor.
   

Eklentinin zaafı, dosya ilk yüklendiğinde türünü kontrol etmesi ama sonra form gönderimiyle gelen dosya ayrıntılarına güvenmesi.

Kronoloji neden önemli?

Bir WordPress güvenlik firması ilk istismarı 7 Ekim 2026, 21:47 UTC'de, 63 kaynak IPden görmüş. Açığın kamuya açıklanması ve CVE kaydı ise 8 Ekim. Yani saldırı, açıklanmadan bir gün önce başlamış. Bu, savunmacıların "yama çıktı, kuralım" demeye bile fırsat bulamadığı bir senaryo.

Düzeltme 3.x hattı için 3.1.8.10, ayrıca 4.0.0 ve sonrası (güncel sürüm 4.0.1) ile geldi. Eklentinin yaklaşık 6.000 sitede kurulu olduğu tahmin ediliyor; sayı küçük ama pazarlama/tanıtım siteleri genelde ajanslar tarafından kurulup sonra pek izlenmediği için iyi birer dayanak noktası oluyor.

Ne yapmalı?

• Bricksforge'u 4.0.1'e, en azından 3.1.8.10'a güncelleyin. Güncelleyemiyorsanız eklentiyi veya forms modülünü devre dışı bırakın.
  
• Yükleme ve geçici klasörleri (ör. wp-content/uploads/bricksforge/tmp/) PHP dosyaları ve GIF/PHP polyglotları için tarayın.
  
• Loglarda nonce AJAX uç noktasına istek, ardından url'si .php ile biten form gönderimlerini arayın.
  
• Eklenti 8 Ekim öncesinde internete açık idiyse siteyi ele geçirilmiş kabul edin: web shell ve yeni admin hesaplarını arayın; veritabanı kimlik bilgilerini, gizli anahtarları ve parolaları döndürün.
  

Daha geniş ders

Markanızı taşıyan sitelerde hangi eklentilerin koştuğunu bilmek, bence temel bir varlık envanteri meselesi. Ajansınıza ve hosting sağlayıcınıza "bu sitede ne çalışıyor ve kim güncelliyor" diye sormak, teknik bir detay değil yönetişim meselesi. Yorumlarda WordPress tarafında kullandığınız sertleştirme adımlarını (ör. uploads dizininde PHP çalıştırmayı kapatma) paylaşırsanız sevinirim.

Kaynakça

• The Hacker News - Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE: https://thehackernews.com/2026/10/attack...forge.html
  
• SecurityWeek - Bricksforge WordPress Plugin Vulnerability Exploited in the Wild: https://www.securityweek.com/bricksforge...-the-wild/
  
• CVE Record - CVE-2026-85097: https://www.cve.org/CVERecord?id=CVE-2026-85097
  

Görsel: WordPress Foundation, Wikimedia Commons, lisans GPL - https://commons.wikimedia.org/wiki/File:...hboard.png